Planilha e agenda do Google em comunicação de C2

O grupo de ciberespionagem TA415, também conhecido como APT41, Brass Typhoon e Wicked Panda, passou a utilizar serviços legítimos da Google, como Sheets e Calendar, para estabelecer canais de C2 (Command and Control) em ataques recentes contra órgãos do governo dos Estados Unidos, think tanks e instituições acadêmicas. As campanhas ocorreram entre julho e agosto de 2025.

Leia também
GitHub libera campanhas de segurança
Falha crítica expõe GPT-5 a modelos inseguros

De acordo com a Proofpoint, o grupo realizou operações de spearphishing com temas relacionados à economia EUA-China, se passando por figuras públicas para ganhar credibilidade. Os ataques tinham como objetivo principal a coleta de inteligência sobre relações econômicas e políticas, em especial assuntos ligados a Taiwan e sanções comerciais.

As mensagens maliciosas foram distribuídas por meio de arquivos compactados e protegidos por senha hospedados em serviços de compartilhamento em nuvem como Zoho WorkDrive, Dropbox e OpenDrive. Esses pacotes continham atalhos do Windows e componentes ocultos que, uma vez executados, estabeleciam persistência no sistema e permitiam a coleta de informações sensíveis.

O uso de serviços legítimos de nuvem como infraestrutura de C2 torna a detecção mais complexa, já que o tráfego se mistura a comunicações normais da rede corporativa. Além disso, os operadores utilizaram VPNs para ocultar endereços de IP de origem, adicionando camadas de proteção às campanhas.

Pesquisadores destacam que a sofisticação das táticas do TA415 demonstra uma tendência de abuso de ferramentas e plataformas legítimas para operações de espionagem, o que reforça a necessidade de monitoramento avançado de serviços em nuvem e implementação de autenticação multifator.